Dai difetti di attendibilità dell’analisi alla consistenza degli indicatori di rischio

È intuitivamente visibile come il processo di costruzione dell’analisi ad albero degli eventi possa essere interpretato, a livello qualitativo, come un processo ad accrescimento delle incertezze. È tuttavia importante evidenziare come le incertezze modellistiche e informative possano, e debbano, essere gestite con un approccio trasparente, consentendo quindi la verifica, a conferma o a confutazione, delle analisi proposte, e caratterizzando quindi gli studi secondo la caratteristica fondamentale della scientificità.

È invece importante analizzare la consistenza statistica e la stabilità degli indicatori di rischio ottenibili dall’analisi di rischio, allo scopo di orientare decisori, tecnici e gestori ad un consapevole uso di indicatori quantitativi e criteri eleggibili.

In considerazione della modalità di calcolo, RT può essere visto come il valore atteso della v.a. D, ottenuta dalla combinazione lineare delle v.a. di, tutte indipendenti (in quanto ottenute da processi di stima attraverso

84

simulazioni dedicate). In particolare, i fattori della combinazione lineare nelle variabili di sono costituiti dalle pi. Tale osservazione è d’altronde perfettamente coerente alla definizione stessa di R, definito anche Valore Atteso del Danno (VAD).

Da ciò si ricava che:

𝑅𝑅 = ∑𝑛𝑛𝑖𝑖=1𝑝𝑝𝑖𝑖∙ 𝑑𝑑𝑖𝑖 = 𝐸𝐸(𝐷𝐷) = ∑𝑛𝑛𝑖𝑖=1𝑝𝑝𝑖𝑖∙ 𝐸𝐸(𝑑𝑑𝑖𝑖)

Ne deriva che l’effetto di mediazione determinato dalla composizione dei valori attesi del danno caratteristici dei vari scenari determina che l’errore standard di R, considerato come valore atteso della v.a. D, è inferiore a quello delle variabili aleatorie costituenti; ne consegue che R (o VAD) è un indicatore robusto, statisticamente consistente e centrato.

Le medesime considerazioni possono essere trasferite sull’indicatore di rischio individuale, in quanto semplice normalizzazione del rischio totale per il numero di esposti.

Un giudizio sulla consistenza statistica della funzione retrocumulata del danno è invece ottenibile, con approccio qualitativo, ove si consideri che la molteplicità degli scenari gestiti in una analisi di rischio è sempre e solo una raccolta numerabile, di elezione, rappresentativa dell’universo degli scenari effettivamente realizzabili. Mentre un indicatore normalizzato restituisce la sintesi di tutti i contributi al rischio (operando una sintesi per accrescimento, e quindi garantendo un buon effetto di compensazione nella gestione della numerosità degli scenari), l’adozione della distribuzione retrocumulata del rischio per N crescenti (in conformità con la definizione analitica dell’indicatore di rischio sociale) vede progressivamente diminuire il numero di scenari partecipanti al crescere di N, con l’effetto di una diminuzione dell’effetto di compensazione e, quindi, di una stima meno affidabile al crescere di N.

Un ulteriore indizio di (bassa) consistenza statistica dell’indicatore costituito dalla funzione retrocumulata del danno può essere ottenuto rappresentando le funzioni retrocumulate caratteristiche dello stesso sistema, ma ottenute operando una diversa aggregazione degli scenari di fine ramo.

85

Figura 53: Rappresentazioni sul piano F-N di diverse retrocumulate rappresentative dello stesso sistema

La figura precedente riporta due casi relativi a retrocumulate del medesimo sistema tecnico, caratterizzate quindi da identico VAD (pari all’area sottesa dalle retrocumulate). La equivalenza delle aree non è immediatamente evidente a causa della rappresentazione su piano bilogaritmico. La figura esemplifica una caratteristica generale della funzione retrocumulata sul piano F-N: in particolare una strategia di gestione delle code di distribuzione statistica delle variabili causali del modello orientata ad eccessiva sintesi comporta una tendenziale sottostima della distribuzione F-N a N elevati e una sovrastima della stessa a N bassi. Si noti, d’altronde, che la sintesi più o meno spinta della struttura di analisi non condiziona l’indicatore di rischio totale (R o VAD), e quindi nemmeno l’indicatore RI da questo derivato.

La caratteristica risulta perversa ove si consideri che, in controtendenza rispetto agli ambiti applicativi ordinari, l’adozione di modelli più grossolani comporta una sottostima dell’andamento della retrocumulata per i casi di plurifatalità e, d’altronde, una riduzione del margine di sicurezza apparente (distanza tra curva retrocumulata e criteri sul piano F-N) per N intermedi.

Inoltre, e con maggiore rilevanza sulla fragilità dell’indicatore di rischio sociale e dell’applicazione ad esso di un criterio di verifica, il limite è particolarmente grave dal punto di vista applicativo in quanto l’indicazione di un criterio sul piano F-N costituisce un indirizzo di con-formazione applicata ad una funzione la cui forma è risultata particolarmente vulnerabile ai difetti dell’analisi.

La bassa consistenza statistica della funzione retrocumulata del danno non impedisce tuttavia di acquisire maggiore informazione dalla sua rappresentazione. Dal punto di vista informativo, infatti, forma e

86

caratteristiche della retrocumulata rappresentata sul piano F-N possono fornire elementi di controllo sulla qualità dell’analisi di rischio.

In particolare, la scarsità dei punti di rappresentazione di una retrocumulata corrisponde in genere ad una bassa complessità di sviluppo dell’albero degli eventi (mancato rispetto del principio di completezza dell’analisi), con la conseguenza di una sintesi statistica sul valor medio di letalità corrispondente ad una intera classe di incidenti. È già stato sottolineato come tale approccio, sostanzialmente ininfluente nella verifica del valore atteso del danno, determina una deformazione sistematica nell’andamento della funzione retrocumulata del danno, col conseguente effetto di sottostima crescente al crescere di N.

Ulteriori informazioni sono desumibili dal range di definizione della retrocumulata, e in particolare dal massimo numero di vittime possibili a seguito di incidente. In particolare, il valore massimale di vittime possibili dovrebbe tendere al massimo numero di esposti ipotizzabile per il sistema. Una significativa differenza tra i due valori potrebbe essere causata da incompletezza dell’analisi, o errore per eccesso di sintesi statistica nella determinazione dei punti di condensazione delle variabili analizzate nell’ETA.

Le normative nazionali dei settori citati hanno sempre più frequentemente imposto criteri di verifica sul piano F-N, in alcuni casi affiancando la verifica sul rischio sociale con quella sul rischio individuale. Sembra tuttavia che la tendenza più diffusa sia quella di privilegiare la verifica sul rischio sociale, attraverso l’utilizzo di limiti di accettabilità e l’utilizzo di criteri ALARP sul piano di rappresentazione bilogaritmico F-N.

L’indicatore di rischio sociale consente di verificare la distribuzione del rischio per categorie di incidenti a gravità crescente, e la rappresentazione della distribuzione retrocumulata fornisce certamente indicazioni utili per una gestione razionale delle risorse per la prevenzione e la protezione dagli incidenti. Di contro, l’indicatore di rischio sociale non è un indicatore normalizzato sulla platea dei soggetti esposti al rischio, e come tale non dovrebbe essere utilizzato con lo scopo di ottenere una indicazione sul livello di accettabilità del pericolo oggetto di studio.

Lo sviluppo della Quantitative Risk Analysis nel periodo 1960-1970 ha portato a sviluppare gli antecedenti concettuali (con approccio etico – normativo) degli indicatori di rischio. Risale in particolare a quegli anni lo sviluppo e l’evoluzione del concetto di rischio sociale a partire dai concetti di rischio totale e di rischio individuale già disponibili e di uso diffuso (Ball and Floyd, 1998).

La prima applicazione di criteri di accettabilità sul piano F-N si deve a Farmer (1976), che ha usato la rappresentazione retrocumulata del rischio per illustrare l’effetto di contaminazione da radiazioni di Iodio 131 in Curie (Ci) proponendo un limite di inaccettabilità definito da una linea retta nel piano F-N log-log (e cioè un ramo di iperbole sul piano a metrica uniforme). Farmer è stato anche il primo a introdurre un criterio rischio avverso, proponendo per il criterio sul piano F – N una pendenza maggiore di 1 (e in particolare 1,5). La sistematizzazione definitiva del rischio sociale rappresentato sul piano F-N e dei criteri di verifica su questo adottabili si deve allo stesso Farmer allo scopo di individuare livelli accettabili di rischio per le pratiche di valutazione del rischio e per il supporto tecnico al processo decisionale nella gestione di interi comparti. Negli anni ’70 e ’80 si propongono quindi rappresentazioni F-N orientate soprattutto al censimento del rischio e alla valutazione comparativa del rischio di incidenti industriali e eventi naturali (Lees, 1996).

L’evoluzione del metodo negli anni ’80 e ’90 vede i criteri F-N introdotti in modo sempre più frequente nelle norme di gestione della sicurezza di interi comparti, a scopo sostanzialmente ricognitivo e di indirizzo politico (Ball and Floyd, 1998).

Dalla fine degli anni ’90 e a tutt’oggi, anche a seguito della diffusione dei metodi di QRA (supportati da programmi di simulazione e strutture di calcolo sempre più potenti), si è assistito alla diffusione del criterio sul piano F-N in un numero crescente di settori, con l’introduzione di criteri F-N per la verifica delle condizioni

87

di sicurezza relativamente a singole strutture – sistemi e non più solamente con riferimento ad interi comparti: si veda in tal senso Jonkman et al. (2003), Trbojevic (2005), Jonkman (2007), Porske (2008). Il passaggio dall’utilizzo in chiave retrospettiva a quello in funzione di verifica sulla base di dati inferiti ha sollevato ampie critiche dalla comunità scientifica, e in particolare da quella statistica.

Già nel 1996 Evans e Verlander evidenziavano come l’adozione di criteri di inaccettabilità assoluta sull’indicatore di rischio sociale comportasse una allocazione non ottimale delle risorse, con l’effetto di una peggiore efficacia degli investimenti di sicurezza decisi invece con Analisi Costi Benefici. Dal punto di vista statistico Evans e Verlander dimostrano che l’adozione di un criterio di verifica sul piano F-N corrisponde all’adozione di un criterio Minimax sull’incertezza statistica, col grave effetto di una disutilità attesa alla luce dei criteri di efficienza degli investimenti.

La critica di Evans e Verlander è stata ripresa più volte e soggetta a critica in particolare da Horn e collaboratori (2008) senza tuttavia poter essere confutata.

A sostegno indiretto della critica di Evans e Verlander si registra la modesta affermazione del criterio di verifica sul piano F-N al di fuori del contesto tecnico – ingegneristico: si pensi all’area di ricerca sulla gestione del rischio economico (Abrahamsen e Aven, 2008).

L’ultimo aspetto meritevole di discussione riguarda la qualità statistica dell’indicatore di rischio sociale, al confronto con gli altri indicatori. Quanto presentato ha in effetti dimostrato come l’indicatore di rischio sociale, costituito dalla rappresentazione della funzione retrocumulata del danno sul piano F-N, sia particolarmente esposto ad essere instabile, e in particolare modifica in modo molto rilevante la propria forma in presenza di eventuali (comuni) errori di eccesso di sintesi e di completezza dell’analisi.

La tendenza, sempre più diffusa, di utilizzare criteri di verifica sul piano F-N per la valutazione del livello di sicurezza di singoli impianti determina un effetto di disutilità tanto più grave quanto più il criterio di verifica sul piano F-N è applicato in modo parcellizzato, e cioè applicato a singole strutture o sistemi oggetto di verifica.

Imporre condizioni aggiuntive sulla forma della distribuzione retrocumulata di probabilità di incidente (cioè sul piano F-N) significa invece imporre, nell’ottica della tutela del cittadino – utente, un condizionamento specifico ai modi di incidente e alla caratteristica incidentale plurifatalità del sistema, introducendo dei criteri di preferenza sui modi di aggregazione, per numero di vittime contemporanee, degli effetti di incidente. Una carenza di compliance sul piano F-N dichiara solo l’esistenza di aggregazioni di scenari di rischio cumulato caratterizzati da tempi di ritorno indesiderati in funzione del numero di vittime, imponendo quindi, nel caso, spese di messa in sicurezza orientate a modificare la forma della distribuzione retrocumulata, e solo indirettamente un sostanziale effetto riduttivo del rischio.